在香港注册的信托或公司服务提供者（TCSP）持牌人须遵守由公司注册处处长发出的《打击洗钱及恐怖分子资金筹集指引（信托或公司服务提供者持牌人适用）》（2025 年 3 月修订版）所载的打击洗钱及恐怖分子资金筹集（AML/CFT）规定。当中两个关键但经常被混淆的部分，分别是机构层面的洗钱/恐怖分子资金筹集风险评估（IRA）与独立审计（IA）职能。

虽然两者在稳健的打击洗钱及恐怖分子资金筹集框架中均扮演重要角色，但它们并不等同。了解它们的差异、如何互补，以及各自独立的监管目的，是达致合规的关键。

什么是机构层面风险评估?

机构层面风险评估是一个前瞻性的过程，旨在帮助信托或公司服务提供者持牌人识别、评估及了解其业务所面对的洗钱/恐怖分子资金筹集风险。其主要目的是为采用风险为本方法奠定基础，使信托或公司服务持牌人能够确定其在多大程度及如何容易受到洗钱/恐怖分子资金筹集风险影响，并采取与这些风险相称的措施。

机构层面风险评估的主要特点有哪些？

• 方法：没有一刀切的方法。评估的性质及范围必须与业务的性质、规模及复杂程度相称
• 频率﹕必须至少每两年进行一次，并在出现对信托或公司服务持牌人的业务或风险状况有重大影响的触发事件时进行。
• 风险类别包括：客户风险、国家/司法管辖区风险、产品/服务风险、交易或交付渠道风险。

什么是独立审计职能？

独立审计职能提供客观、回顾性的检讨，评估信托或公司服务持牌人的打击洗钱及恐怖分子资金筹集制度是否有效。它不是前瞻性的风险评估，而是对现有控制措施及流程的关键评价。

独立审计职能的监管要求有哪些？

• 独立性: 审计职能必须独立，与高级管理层直接沟通，并具备充足的专门知识及资源。
• 检讨内容: 独立审计职能应评估打击洗钱及恐怖分子资金筹集制度是否足够、洗钱/恐怖分子资金筹集风险评估框架、风险为本方法的应用是否适当、可疑交易报告系统的有效性、合规职能的有效性，以及负有打击洗钱及恐怖分子资金筹集职责的职员的警觉性。
• 频率及范围: 应与业务的性质、规模、复杂程度以及该等业务所引起的洗钱/恐怖分子资金筹集风险相称。在适当时，应寻求外界人士进行检讨。

主要区别一览

两者是否等同?

机构层面风险评估与独立审计职能并不等同，也不能互相取代。机构层面风险评估重点在于应用控制措施之前识别及了解风险，而独立审计职能则评估现有控制措施及系统是否有效运作。前者是关于风险理解，后者是关于控制措施的有效性。

两者如何互补?

尽管存在差异，机构层面风险评估与独立审计职能具有高度的互补性。机构层面风险评估提供基础的风险理解，独立审计职能利用此基础来评估控制措施是否恰当及有效。反之，独立审计的结果——尤其是重大的控制失误——应促使信托或公司服务持牌人更新机构层面风险评估，因为这些结果代表了关于风险状况的重要新资讯。这形成了一个持续改进的循环：风险指导控制措施，而审计结果则完善风险评估。

主要合规要点

• 不要将机构层面风险评估视为一次性文件——每两年及在触发事件时更新评估。
• 确保审计职能独立、资源充足，并能直接与高级管理层沟通
• 确保审计范围包括检讨机构层面风险评估的合理性及及时性。
• 保留证据——机构层面风险评估和独立审计报告均须准备妥当，以备监管机构查阅。
• 清晰记录触发事件（例如：新增企业服务、新增司法管辖区、新增客户类型）。

透过了解机构层面风险评估和独立审计职能的不同角色，以及它们如何互相强化，信托或公司服务持牌人可以建立更具韧性、以风险为本及完全合规的打击洗钱及恐怖分子资金筹集框架。

本文基于一般指引资料，仅供参考。